Currículum de analista de ciberseguridad: ejemplos y guía para redactarlo

Este ejemplo es de un analista que empezó en el soporte técnico (helpdesk), pasó dos años en el SOC de un proveedor de servicios gestionados de seguridad y ahora trabaja en plantilla en un grupo hospitalario. El nombre, las empresas y el centro de estudios son ficticios. Más abajo tienes versiones para perfiles junior y cambio de sector: la estructura es la misma, cambia la escala.

Las ofertas de analista de seguridad reciben cientos de candidaturas, muchas de personas que cambian de sector con un certificado y sin horas de práctica real. Los responsables de SOC buscan cuatro cosas para separar a quien ha hecho el trabajo de quien solo ha leído sobre él.

• Herramientas con nombre y prueba de uso. No «SIEM», sino «Splunk Enterprise Security» o «Microsoft Sentinel (KQL)»; no «EDR», sino «CrowdStrike Falcon». Y después un logro que demuestre que lo has usado: alertas clasificadas, búsquedas escritas, equipos aislados.
• Incidentes que puedas contar como una historia. Uno o dos incidentes reales (un phishing que acabó en una regla de buzón maliciosa, malware en un puesto de trabajo, una cuenta de servicio comprometida) con qué encontraste, qué hiciste y cuánto tardaste. En la entrevista te lo van a preguntar; el currículum debe prometer esa historia.
• Certificaciones acordes al nivel. Security+ es el mínimo para la mayoría de los puestos de analista y muchas ofertas la piden o la valoran. CySA+, GCIH, GCIA, SC-200 o Cisco CyberOps Associate demuestran profundidad en SOC. Un CISSP en un currículum junior levanta sospechas salvo que tengas los 5 años de experiencia que exige.
• Fundamentos. Redes (TCP/IP, DNS, cómo viaja un paquete), logs de Windows y Linux, nociones de Active Directory y algo de scripting. Los responsables los comprueban en la entrevista, así que el currículum que los muestra (soporte técnico, administración de sistemas, laboratorio propio, una certificación de redes) es el que recibe la llamada.

“Enséñame el SIEM que has usado, cuántas alertas cerraste en un mal día y un incidente que llevaste de principio a fin. Quien enumera doce marcos normativos y ningún incidente casi nunca ha hecho un turno.”

De tres a cuatro líneas debajo de la cabecera. Primero el nivel y los años, después el entorno (SOC, en plantilla, MSSP), luego las herramientas y, por último, un resultado y tus certificaciones.

¿Objetivo profesional o perfil profesional? Usa el perfil en todos los casos. Aunque no tengas experiencia remunerada, el último ejemplo de arriba dice lo que ya has hecho (prácticas, laboratorios, detecciones escritas) y no lo que esperas conseguir.

Cada logro necesita la herramienta, el volumen y el resultado. Aquí tienes seis frases que aparecen en cientos de currículums de analista, reescritas con el detalle que busca un responsable de SOC. Cambia las cifras por las tuyas.

Agrupa la sección de competencias por categorías y limítala a entre 12 y 16 entradas. Los seleccionadores buscan nombres de herramientas en los sistemas ATS, así que escríbelos como lo hace el fabricante. Pon solo lo que has tocado de verdad.

• SIEM y plataformas de logs: Splunk Enterprise Security, Microsoft Sentinel, IBM QRadar, Elastic Security, Google SecOps (Chronicle), Sumo Logic, Wazuh (código abierto)
• Detección y respuesta en endpoints (EDR): CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Carbon Black, Palo Alto Cortex XDR
• Gestión de vulnerabilidades: Tenable Nessus y Tenable.io, Qualys, Rapid7 InsightVM, priorización con CISA KEV
• Red y perímetro: Palo Alto, Fortinet, Cisco ASA, Zscaler, Wireshark, Zeek, Suricata, Snort
• Seguridad del correo y de la identidad: Proofpoint, Mimecast, Microsoft Defender for Office 365, Okta, Entra ID (Azure AD), MFA y acceso condicional
• Automatización y scripting: Python, PowerShell, Bash, KQL, SPL, expresiones regulares, Splunk SOAR, Palo Alto Cortex XSOAR, Tines
• Inteligencia y análisis de amenazas: MITRE ATT&CK, VirusTotal, AbuseIPDB, MISP, Shodan, análisis básico de malware en sandbox (Any.Run, Joe Sandbox)
• Marcos y normativa: NIST CSF 2.0, NIST SP 800-53 y 800-61, CIS Controls, ISO/IEC 27001, SOC 2, PCI DSS, RGPD y LOPDGDD, ENS (Esquema Nacional de Seguridad) si has trabajado con él
• Fundamentos: TCP/IP y DNS, registros de eventos de Windows y Sysmon, logs de autenticación y syslog de Linux, Active Directory, logs en la nube (AWS CloudTrail, Azure Activity Log, logs de auditoría de GCP)

Las competencias transversales importan en un SOC, pero no las pongas como palabras sueltas. Demuéstralas: «redacté informes de incidentes que leía el CISO», «formé a 4 analistas nuevos de nivel 1». Escribir con claridad bajo presión es la competencia de la que más se quejan los responsables.

En España no existe una habilitación oficial obligatoria para trabajar como analista de ciberseguridad, así que las certificaciones son la forma en que las empresas comprueban tu nivel de partida. Ponlas en una sección propia de certificaciones con el año, de la más reciente a la más antigua, y añade las que estás preparando con la fecha prevista del examen.

• CompTIA Security+: la base. Muchas ofertas de analista la piden o la valoran, y es una certificación internacional muy reconocida en consultoras y proveedores de seguridad. Si no tienes ninguna otra, empieza por esta.
• CompTIA CySA+: el siguiente paso, específico de SOC (análisis de logs, detección de amenazas, respuesta a incidentes). Aparece a menudo en ofertas de analista de nivel 1 y nivel 2.
• GIAC GCIH (gestión de incidentes), GCIA (análisis de intrusiones), GSEC (fundamentos): caras, normalmente las paga la empresa y los responsables de SOC las respetan mucho.
• Microsoft SC-200 (Security Operations Analyst): valiosa donde el entorno es Sentinel y Defender, algo muy habitual en empresas que trabajan con Microsoft 365. Splunk Core Certified User o Power User cumple el mismo papel en empresas que usan Splunk.
• ISC2 Certified in Cybersecurity (CC): una certificación de iniciación y una primera línea razonable para estudiantes. ISC2 ha ofrecido formación y un primer intento de examen gratuitos en su programa de iniciación, pero las condiciones cambian: comprueba la oferta actual antes de contar con ella y ten en cuenta la cuota anual de mantenimiento una vez aprobada. ISC2 SSCP está un escalón por encima.
• CISSP: exige 5 años de experiencia remunerada (4 con titulación universitaria). No la pongas como «en curso» en un currículum junior. Si aprobaste el examen sin la experiencia, eres «Associate of ISC2», y esa es la forma correcta de indicarlo.
• Habilitación de seguridad: si tienes una Habilitación Personal de Seguridad (HPS) en vigor o vencida hace poco, ponla en la línea de la cabecera. En puestos de defensa y de proveedores de la Administración que manejan información clasificada es de lo primero que se busca.

«Sin experiencia» en seguridad casi nunca significa sin experiencia relevante. El soporte técnico, la administración de sistemas, las redes y las transmisiones militares tienen tareas de seguridad si sabes sacarlas a la luz. Lo que no puedes saltarte son las pruebas prácticas: un responsable de SOC necesita ver que has revisado logs y alertas, aunque sea en un laboratorio.

1. 1Certificaciones y formación arriba: Security+ (o la fecha del examen), ISC2 CC, alguna certificación de redes (CompTIA Network+, CCNA), tu grado, FP o bootcamp. Añade asignaturas relevantes solo si todavía no tienes certificaciones.
2. 2Una sección de proyectos o laboratorio propio redactada como si fuera un empleo, con cifras: «Monté un laboratorio SOC en Proxmox con Wazuh como SIEM, Sysmon en 3 máquinas virtuales Windows y Suricata; escribí 20 reglas de detección mapeadas a MITRE ATT&CK y documenté 6 ataques simulados en GitHub». Enlaza el repositorio de GitHub en la cabecera.
3. 3Plataformas y horas, con honestidad: ruta SOC Level 1 de TryHackMe completada, 40 alertas investigadas en LetsDefend, Blue Team Labs Online, Sherlocks de HackTheBox, retos de CyberDefenders, una buena clasificación en un CTF universitario. Los responsables conocen estos nombres y el esfuerzo que supone cada uno.
4. 4Tu empleo actual o anterior, con la parte de seguridad en primer plano: tickets de phishing gestionados, despliegues de MFA o de parches, auditorías de cuentas de AD, solicitudes de cambios en el cortafuegos, informes de incidentes, todo lo que tenga logs.
5. 5Prácticas y voluntariado: unas prácticas de 3 meses en un SOC valen más que cualquier certificado; ponlas en Experiencia con el número de alertas. El voluntariado en seguridad para una ONG (despliegue de MFA, una prueba de phishing) también cuenta.

• Extensión: una página si tienes poca experiencia y, en general, hasta unos 8 años. Dos páginas para analistas sénior, especialistas en respuesta a incidentes y quien tenga una lista larga de proyectos o un historial de habilitaciones de seguridad.
• Orden con experiencia: cabecera (con la habilitación de seguridad, si la tienes), perfil profesional, experiencia, competencias agrupadas por categoría, certificaciones y formación académica. Junior: cabecera, perfil, certificaciones, proyectos o laboratorio, experiencia y formación académica.
• Diseño: una sola columna, títulos sencillos y fuentes estándar. Las grandes empresas y consultoras usan sistemas ATS que solo leen texto. Una plantilla técnica oscura como cyber-security de cvplex vale siempre que sea de una columna y basada en texto. La foto es habitual en España pero opcional; en perfiles técnicos muchas veces se prescinde de ella.
• Usa exactamente los nombres de herramientas y marcos de la oferta cuando sean ciertos en tu caso: SIEM, EDR, respuesta a incidentes, threat hunting, gestión de vulnerabilidades, MITRE ATT&CK, NIST, ISO 27001, ENS, RGPD, Splunk, Sentinel, CrowdStrike, KQL, Python. El ATS compara cadenas de texto, no sinónimos.